CVE-2026-52783

Nome do Software Vulnerável e Versões Afetadas OpenProject versões anteriores a 17.3.3 OpenProject versões anteriores a 17.4.1

Description O módulo Storages grava o access token de OAuth sem usuário do OneDrive/SharePoint em texto simples no Rails.cache sob a chave determinística storage.<id>.httpx access token. Este token é repovoado continuamente por um cron horário e por cada site de chamada userless-OAuth. Como nenhum dos backends de cache permitidos (file store, memcache e redis) criptografa os dados em repouso, um invasor com acesso de leitura ao backend de cache pode recuperar o bearer de nível de aplicativo do Azure-AD por meio de um get anônimo via protocolo binário memcached (ou o equivalente no Redis).

Recommendations Atualizar para a versão 17.3.3. Atualizar para a versão 17.4.1.